Activitatea de tip ransomware include adesea o etapă de pregătire înainte ca criptarea să înceapă. Atacatorii pot încerca să reducă opțiunile de recuperare, să elimine copiile de rezervă, să șteargă probe sau să modifice setări de sistem care fac restaurarea mai dificilă.

Sursa definește o vânătoare bazată pe linia de comandă din Windows pentru mai multe comportamente asociate acestei faze de pregătire și de impact.

Comenzi incluse în vânătoare

Interogarea caută activitate care implică:

• vssadmin ștergând shadow copies;

• ștergerea shadow copy prin WMI;

• wbadmin ștergând catalogul de backup;

• bcdedit dezactivând recuperarea;

• wevtutil ștergând jurnalele;

• cipher /w;

• modificări fsutil ale SymlinkEvaluation.

Interogarea de detecție

data.win.system.eventID:1 and data.win.eventdata.commandLine:(*vssadmin*delete*shadows* or *wmic*shadowcopy*delete* or *wbadmin*delete*catalog* or *bcdedit*recoveryenabled*no* or *wevtutil*cl* or *cipher*/w* or *fsutil*behavior*set*SymlinkEvaluation*)

Sursa a înregistrat trei evenimente potrivite în ultimele 30 de zile.

De ce contează aceste evenimente

Multe dintre aceste comenzi au utilizări administrative legitime, dar câteva sunt neobișnuite în activitatea normală a utilizatorilor.

Ștergerea shadow copies sau a cataloagelor de backup, în special, ar trebui analizată cu atenție atunci când se produce în afara operațiunilor aprobate de mentenanță sau de backup.

Evenimentul devine mai semnificativ atunci când este combinat cu:

• execuție suspectă de shell;

• extragerea credențialelor;

• dezactivarea controalelor de securitate;

• modificarea în masă a fișierelor;

• activități programate nou create;

• administrare la distanță neobișnuită.

Fluxul de investigare

Pentru fiecare potrivire, analiștii ar trebui să determine:

• cine a executat comanda;

• dacă gazda este o stație de lucru sau un server;

• procesul părinte;

• linia de comandă exactă;

• dacă erau planificate operațiuni de backup sau de recuperare;

• alte procese lansate aproximativ în același interval;

• dacă mai multe sisteme au efectuat aceeași acțiune.

Dacă comanda apare cu puțin timp înainte de modificări extinse ale fișierelor, evenimentul ar trebui tratat ca un potențial precursor de ransomware.

Reglare

Software-ul de backup cunoscut sau scripturile de mentenanță pot invoca în mod legitim unele dintre aceste comenzi.

Excepțiile ar trebui, prin urmare, să se bazeze pe căi de proces cunoscute, software semnat, conturi de serviciu și programe așteptate.

Valoarea corelării

Numărul mic de rezultate din sursă face ca această regulă să fie utilă pentru revizuirea manuală.

Un lanț deosebit de îngrijorător ar putea fi:

extragerea credențialelor → execuție la distanță → ștergerea shadow copies → ștergerea jurnalelor

O astfel de corelare poate ajuta la distingerea administrării izolate de o activitate malițioasă coordonată.

Valoare operațională

Detectarea ransomware nu ar trebui să înceapă doar atunci când criptarea este deja vizibilă. Monitorizarea comportamentului de împiedicare a recuperării poate oferi semnale mai timpurii și poate ajuta SOC-ul să răspundă înainte ca etapa finală de impact să fie completă.